ランサムウェア攻撃のアクター
特定をすべきこれだけの理由

一般社団法人JPCERTコーディネーションセンター
政策担当部長 兼 早期警戒グループマネージャ
脅威アナリスト
佐々木 勇人前提：（パブリック）アトリビューションの「粒度」「粒度」の異なる様々なアトリビューションと公表が行われている“ソフト”なアトリビューション：バーチャネルな「攻撃グループ」の分類←セキュリティアナリストが行っているもの”ハード“なアトリビューション：実行犯／背景主体の特定←行政機関等で行っているもの
背後関係（所属組織、政府）まで特定しているもの

Sandworm
・ロシアのAPTグループと推測・特定されている
・2020/10にGRU要員の刑事訴追を公表

1© 2023 JPCERT/CC

Lazarus・北朝鮮のAPTグループと推測・特定されている
・2018/9,2021/2に関係者の刑事訴追を公表

実行犯（人物）特定まで至っているもの

APT1
・中国のAPTグループと推測・特定されている
・2013/1にマンディアント社が実行者まで特定・2014/5 に米司法省が刑事訴追を公表「攻撃グループ」特定（＋関係のある国／地域）

Kimsuky
・北朝鮮のAPTグループと推測されている・標的が主に韓国
・これまでに実行犯個人の特定や、背後関係（どの組織に所属しているか）は明らかになっていない

SideCopy
・パキスタンのAPTグループと推測されている・標的がインド、アフガニスタ
ンの組織
・「パキスタン」を明示するセ
キュリティベンダもいれば、明示しないベンダも前提：アトリビューションの全体像
国際法上の「相当の注意義務」
国家への行動の帰属

少ない

技術的な分析で特定できる範囲

刑事訴追

実行者の特定技術的要
素攻撃グループの特定

攻撃グループの地
域的背景

攻撃活動／手法の特定多い
バーチャルな特定

特定の人物・組織への絞込み

分析に必要な時間
手続に必要な時間2© 2023 JPCERT/CC

そのアクター、本当にランサムギャング？
RaaS／アフィリエイトスキームやロシア／東欧系の犯罪者の関与が注目されているが、実際には正体不明な単独の攻撃グループ
やAPTグループ（あるいは過去にAPTキャンペーンを行っていたグループ）によるランサムウェア攻撃も多数発生している
ビルダーのリークなどにより、必ずしも”有名どころ“のランサムウェアが用いられたからといってRaaS傘下のアクターでないケースもある
他方で、ランサムウェア攻撃のインシデント対応では復旧が優先され、原因特定やランサムウェア／攻撃者の特定まで分析がなされないケースが多い。
また、ファーストレスポンダーのインシデント経験不足、ランサムウェア攻撃対応の知見不足もあり、正確な分析がなされない傾向にある

アフィリエイトスキーム

アフィリエイト3© 2023 JPCERT/CC

アフィリエイト単独の攻撃グループ

APTグループ（あるいは元APTグループ）

対応事例①：Robinhood Leaks
遅くとも2021年10月から活動
Raasなのか、単独の攻撃グループなのか不明であったが、この前後で、同一攻撃グループによるとみられる、別のランサムウェア（ブランド）を用いた攻撃事案を確認。同一グループが偽の”リブランド“をしているのではないかと考えられた
過去には欧州の損保会社、アフリカのマーケティング会社、中国の製造業等、アメリカのソフトウェア企業等を幅広く狙う
Thanosランサムの亜種を使用（Thanosビルダーを使用している可能性）
暗号化後の拡張子は、被害組織名の略称と思われる（被害毎に異なる拡張子を使う）
Twitterアカウントは2022年1月に凍結。その後はGettrアカウントを使用している。過去には他のSNSを用いていたことも。Toxでのチャットへ誘導するケースもある
過去には窃取したデータ（の一部）をSNS上にリークしていたが、その後行わなくなった
SSL-VPN製品の脆弱性（あるいは過去に漏えいした認証情報）の悪用により侵入すると思われる

4© 2023 JPCERT/CC

検体の特徴からの特定
同じ特徴を持つ複数の検体がVT上に存在していた「暗号化後の拡張子＝標的組織の略称」という特徴から、標的となった組織／地域を推測

https://twitter.com/GrujaRS/status/1484148716479172608
5© 2023 JPCERT/CC

https://any.run/report/f9533288e6a7279195902c8691d5f223c77015fa332b56e
23aeec3581c0cdbdb/ba082576-c0a4-4f18-9966-4b5e6da6108f

Thanosビルダーを使用するランサムアクター
2021年10月？～
2020年はじめ

RobinhoodLeaks
Thaos ビルダー
フォーラムでの販売

2020年7月頃

2021年9月～
不明グループ
中東・北アフリカを狙うグループ

Spook

2021年2月～
2021年7月～
Prometheus

リブランド？
Haron

6© 2023 JPCERT/CC

Prometheus、Thanosとの共通点がある

交渉手段／使用メディアからの特定
端末側のランサムノートに記載された2つのTox ID
BC6934E2991～
671263E7BC0～
同じTox ID記載のランサムノートが表示される検体について、一部ベンダが「JSRansomware」と区分しているが、RobinhoodLeaksが用いるThanos亜種と思われる

7© 2023 JPCERT/CC

攻撃インフラからの特定
37.143.131[.]224※spookランサムの事案でも確認されている

2021/5/16～2022/2/10

Validity 2022/2/9
2021/8/4～2022/2/10

2022/2/10～

178.209.51[.]243

Validity 2021/5/14
2022/2/10～

2022/2/10～
2021/8/4～2022/2/10

145.239.120[.]59

Validity 2020/3/30

2020/8/27～2020/12/18
2021/8/26～

2020/3/31～2021/1/24

Validity 2020/8/26

45.91.92[.]140
2020/8/27～2020/12/16

8© 2023 JPCERT/CC

被害事案間の共通点

SSL-VPN製品

Spookランサム事案

事案①

同事案②

同事案③

Fortigate・2020/11 Fortifuckリス
トに該当はなし
・OSのバージョンは脆
弱なまま

Sonicwall
・脆弱性のあるバージョンを使用
・2021年にJPCERTからDC経由で通知

Sonicwall
・脆弱性のあるバージョンを使用
・2021年にJPCERTからISP経由で通知

Fortigate・2020/11 Fortifuckリス
トに該当あり

SSL-VPNへの不正ア
クセス

同一IPアドレスから拡張子

組織名の略称等を示す文字列.spook

9

ほか疑義のあるインフラ
が複数

ランサムノート（端末側）への連絡先記載

ToxのID

（未確認）

（未確認）

ランサムノート（サーバ側）への連絡先記載（なし）

Twitterカウアント
Gettrアカウント

Twitterカウアント
Gettrアカウント© 2023 JPCERT/CC

対応事例②：HUI loaderを用いる攻撃グループ
侵入型ランサムウェア攻撃のインシデント対応でHUI Loader
を確認

HUI Loaderはもともと、さまざまな標的型サイバー攻撃グループが使用してきたもの
APT10（2015年～）
Blue Termite（2015年～)
A41APT（2020年～）
DEV-0401（2021年～）

JPCERT/CC Eyes「HUI Loaderの分析」
https://blogs.jpcert.or.jp/ja/2022/05/HUILoader.html

10© 2023 JPCERT/CCHUIローダーの特徴
2015年頃から、主に標的型サイバー攻撃での使用が確認されていたローダー
特徴的な文字列が検体内に内包されている

https://jsac.jpcert.or.jp/archive/2022/pdf/JSAC2022_9_yanagishita-tamada-nakatsuru-ishimaru_jp.pdf

11© 2023 JPCERT/CCDEV-0401
2021年以降に確認された「Lockfile」「AtomSilo」「Rook」「NightSky」「Pandora」の各ランサムウェアを用いた攻撃はすべて同一の攻撃グループ（「DEV-0401」（Microsoft社呼称名））によるものではないかと推測した。Microsoft社、SecureWorks社なども同様の指摘
Microsoft社によれば、4月以降、Lockbit2.0をランサムウェアペイロードとして用いるようになっているとの指摘。Sygnia社はCheercryptもDEV-0401の（偽装）“リブランド”によるものであると指摘。Secureworks社はAPT10との関連性を指摘。
SSL-VPN経由で侵害せず、ProxyShell、Confluence脆弱性（CVE-2021-26084）、VMwareHorizonのLog4j脆弱性、ManageEngine ADSelfService Plusの脆弱性（CVE-2021-40539)などを初期侵入に悪用
JPCERT/CCで確認した事案でもSSL-VPN経由のものは確認されず

出典：Microsoft https://www.Microsoft.com/enus/security/blog/2022/05/09/ransomware-as-a-service-understandingthe-cybercrime-gig-economy-and-how-to-protect-yourself/

12© 2023 JPCERT/CC

出典：Secureworks
https://www.secureworks.com/research/bronze-starlightransomware-operations-use-hui-loader

出典：SYGNIA
https://blog.sygnia.co/revealing-emperor-dragonfly-a-chineseransomware-groupHUI Loaderを用いるDEV-0401の追跡
Lockile、Atom Silo、Rookは、2021年9月にソースコードがリークしたBabukに類似
NightSkyはRookに類似し、パッカーも同じ
PandoraはRookとコードが重複しており、かつ、Nightskyとパッカーが同じ
各ランサム事案間のTTPも類似使用したランサムウェア

LockFile

AtomSilo

Rook

Nightsky

活動時期

2021年8月～

2021年9月～

2021年11月～

2021年12月～

初期侵入

Proxyshell脆弱性

Confluence脆弱性（CVE-202126084）

ManageEngine
ADSelfService Plusの脆弱性（CVE2021-40539)が悪用された可能性

VMWare Horizon
Log4j脆弱性

DLLサイドローディ
ング

正規ファイルは
KuGou Active
Desktopを利用

正規ファイルは
KuGou Active
Desktopを利用

HUI Loader〇〇

ランサム検体〇13© 2023 JPCERT/CC

NightSly事案と類似

〇

〇
類似

Atomsilo事案と類似

2022年2月
ManageEngine
ADSelfService Plusの脆弱性（CVE2021-40539)

正規ファイルはマカフィー製品を利用

類似C2インフラ

2022年2月～

正規ファイルはマカフィー製品を利用

類似

SecureWorks
対応事案

Pandora〇アクター特定が不十分なことで対応をしくじるケース①
国際情勢が緊迫度合いを増す中で、攻撃／攻撃の実行者を特定地域に紐づけたり、攻撃の動機／なぜ狙われたのかについて、国際情勢や“サプライチェーン”上の関係性に結び付ける憶測が飛び交う
実際は特定地域／サプライチェーンとはまったく関係のないアクターが行った、既知のランサムウェアを用いた攻撃であり、国際情勢が変化する前から活動していたものだったが、ある被害現場ではランサムウェア種別の特定まで誤認（攻撃グループ
X関連と紐づけてしまった）していたことが判明
某国に所在する攻撃グループXが攻撃活動を活発にしている！

対策が弱い、大手企業の取引先が狙われる！

被害公表事案

攻撃グループX

大手企業

取引先企業

特定地域と関係のないアクター

誤認

上記とは何の関係もない他の被害組
織群

攻撃グループY

14© 2023 JPCERT/CC（調査ベンダは特定できず）

攻撃グループXのランサムウェアではないか？

アクター特定が不十分なことで対応をしくじるケース②あるマルウェア感染による通信が出ていた組織にコンタクトしたところ、1年以上前に発生したランサムウェア攻撃で使用されたマルウェアの”取りこぼし“によるものと判明
当時の調査ベンダは攻撃グループの特定ができておらず、この攻撃グループが当時多用していた初期侵入経路である脆弱なWebサーバの調査もしておらず、再発防止策も適切でないままだった使われたマルウェアを“取りこぼし”ていた

攻撃グループ？？？

SSL-VPN機器（調査ベンダは特定できず）

WebサーバYの脆弱性

脆弱なSSL-VPN機器から侵入したのではないか？

複数のセキュリティ専門組織が攻撃グループYを追跡

攻撃グループX15© 2023 JPCERT/CC

なぜ、ランサムウェアの攻撃グループ特定が必要なのか
初動対応を適切、速やかに、低コスト負担で行うため―侵入原因の特定―初動対応時から、用いられた攻撃手法を予想することで、不必要なNW遮断やフォレンジック等を減らせる
紛れ込んだAPTアクターを見逃さないためランサムウェアの脅威の封じ込めを目指し、アクター毎に効果的な対抗措置を選択するため

16© 2023 JPCERT/CC

目的：初動対応を速やかに、効率よく行うためランサム種別・アクターの特定／絞り込みを行うことで、用いられたTTPsを推測する― 侵入経路・侵害拡大経路を絞り込み、調査の優先順位を決めることができる― 不要なNW遮断やシステム停止を可能な限り減らすことができる
・・・とはいえ、実際には「全台調査を」「情報漏えい有無の調査を」と求められる

どこから侵入したのか

17© 2023 JPCERT/CC

どの範囲まで侵害したのか

NWを遮断／他のシステムも停止すべきか

どこから侵入したのか

どの範囲まで侵害したのか

NWを遮断／他のシステムも停止すべきかなぜ個人情報漏えい有無の調査が優先されてしまうのか
個人情報保護法制度上の「速報」対応や被害個別通知対応に追われ、本来の事案対応リソースを消耗してしまっている
個人情報保護法制度上の「速報」対応

個情委

個人情報事案発覚

本来、APT対応として必要な対処

被害通知・被害公表
本来の狙い

18

© 2023 JPCERT/CC

APT対応として想定していた開示

目的：身代金を支払わない合理的な判断のため
米主題のカウンターランサムウェア・イニシアティブ会合での声明など、各国において身代金支払いを制限する傾向
アクターによっては、身代金支払い行為が制裁違反行為等に問われる恐れとはいえ、「身代金は支払わないでください」だけでは判断できない
効率的な初動対応により、追加で発生してしまう”被害”を可能な限り低減する

データ損失／漏洩
機会損失
復旧費用
調査費用

支払わないで19© 2023 JPCERT/CC

身代金データ損失／漏洩
機会損失
軽減
復旧費用
調査費用

レピュテーショ
ンダメージ
制裁違反
身代金

支払わないで

目的：APTアクターの追跡・対抗のため多くのLockbit2.0感染被害の中にAPT事案等が紛れており、これを見逃しているのではないか？
Lazarusのサブグループのケース

https://media.defense.gov/2023/Feb/09/2003159161/-1/1/0/CSA_RANSOMWARE_ATTACKS_ON_CI_FUND_DPRK_ACTIVITIES.PDF

20© 2023 JPCERT/CC

DEV-0401

https://www.microsoft.com/en-us/security/blog/2022/05/09/ransomware-as-a-serviceunderstanding-the-cybercrime-gig-economy-and-how-to-protect-yourself/

活動資金を自己調達するLazarusのサブグループ
APT43（Mandiant社が新たに区分・追跡）は暗号資産を狙う攻撃キャンペーンを活動資金の自己調達目的のために行っていると指摘されている
Andariel（※Stoneflyやその他いくつかのサブグループが含まれる）はMauiランサムウェアのほか、Lockbit2.0なども使用していると指摘（2023年2月米当局の合同アドバイザリー）。これも活動資金の自己調達目的のものと思われる

https://www.mandiant.jp/resources/blog/north-korea-cyber-structure-alignment-2023

21© 2023 JPCERT/CC

DangerousPassword他

APT43

Andariel（本来の目的）暗号資産狙いの攻撃

本来の目的のサイバー攻撃

本来の目的のサイバー攻撃（活動資金調達）
暗号資産狙いの攻撃（活動資金調達）
ランサムウェア攻撃

対抗措置例：アフィリエイトスキームのアクターの場合
これまでもいつくかのアフィリエイトスキームが内紛等で消滅したり、関係者が逮捕されることで活動停止するなどした事例がある

ギャング内の内紛等で自然消滅する場合がある

アフィリエイトスキーム

アフィリエイト22© 2023 JPCERT/CC

アフィリエイトアフィリエイトのスキルは必ずしも高くはないた
め、Opsecミスなどから、刑事捜査による逮捕にAPTグループ
単独の攻撃グループつながる （あるいは元APTグループ）「収益率」が悪ければスキームからパージされる←特定地域／特定業種で「ほぼ全員が支払いを選択しない」状況にできれば、ターゲットから外される可能性

対抗措置例：単独の攻撃グループの場合
偽の「リブランド」を行う理由 ⇒仮説：何らかの事情でアトリビューションされることを嫌う傾向／背景があるのではないか？
（上記仮説に戻づくならば）実行犯の検挙等に至れなくても、注意喚起や分析レポート公表等で攻撃手法をさらすことである程度のけん制効果が出る可能性（アフィリエイトスキームに比べ、活動規模が大きくはないため、（注意喚起等により）成功率／収益率をある程度低下させれば、致命的なダメージになる可能性。

アトリビューションを嫌う可能性

アフィリエイトスキーム

活動規模が比較的小さいため、注意喚起やレポート公表で手口がさらされるなどして、成功率が少オペレータ
オペレータしでも下がると、活動自体に大きなダメージを与えられる可能性

23© 2023 JPCERT/CC

単独の攻撃グループ

APTグループ（あるいは元APTグループ）

対抗措置例：APTグループの場合
これまでもパブリックアトリビューションで活動を停止／変化させたり、注意喚起や分析レポートで活動・手口を変えてきたAPTアクターが多いところ、同じような対抗措置や牽制や有効である可能性
ランサムウェア攻撃はあくまで「副業」であるので、ある程度失敗が続けば一時的にランサムウェア攻撃から手を引いたり、あるいは無理に活動を継続しないのではないか

アトリビューションを嫌う可能性

アフィリエイトスキーム

アフィリエイト24© 2023 JPCERT/CC

単独の攻撃グループ

オペレータ
ランサムウェア攻撃が「どうしてもやらなければならない主目的」ではないため、ある程度失敗に終わると（一時的に）撤退する可能性

APTグループ（あるいは元APTグループ）

まとめ：なぜ、ランサムウェアの攻撃グループ特定が必要なのか
初動対応を適切、速やかに、低コスト負担で行うため紛れ込んだAPTアクターを見逃さないためランサムウェアの脅威の封じ込めを目指し、アクター毎に効果的な対抗措置を選択するため（この後解説）⇒ランサムウェア攻撃における被害者側のインシデント対応負担を減らせれば、身代金支払いに傾く被害組織は減る⇒アクター毎に適切な対抗措置を行えれば、実行者の数／層を減らしていくことができる のではないか？

25© 2023 JPCERT/CC